跳到正文
ITDWeb 安全平台
ITD
搜索

安全指南

#数据泄露#供应链#医疗#网络钓鱼#事件响应#全球

美国医疗数据泄露（2026）：主要案例与如何核实通知

2026年向HHS报告的六起医疗泄露事件，包括NYC Health + Hospitals和Baylor Genetics。如何核实来自陌生公司的信件。

发布于 2026-09-30 更新于 2026-10-23 最后核实 2026-09-30 6 分钟阅读
本页目录

适用对象：在美国接受过医疗服务、并**收到一家自己不认识的公司发来的"数据泄露通知"**的人，他们的家人，以及将患者数据交给外部公司的医疗服务提供者和企业的工作人员。

本文依据各机构自身发布的通知和信件、美国卫生与公众服务部（HHS）民权办公室泄露门户、州检察长的备案信息以及联邦法规，比较六个案例。本文不涉及攻击技术。

首先：如果你收到了一封来自陌生公司的信

1

在丢弃之前，先找找你熟悉的医疗服务提供者、保险计划或雇主的名称

供应商的信件通常会注明你实际就诊的医疗服务提供者，或说明信件是代表该提供者发出的。

例如，Xsolis的样本信开头会解释：你的医疗服务提供者使用供应商Xsolis提供病例和医疗使用管理服务。Baylor Genetics表示，它是从第三方客户（例如开具检测的医疗服务提供者）处获得患者信息的。

先查找你认识的医院、保险公司或雇主名称。

2

自行搜索HHS泄露门户

请自行在浏览器中输入ocrportal.hhs.gov（不要通过信中的链接或二维码进入），选择"View HIPAA Breach Reports"，然后查找该公司。列表会显示实体名称、州、类型（医疗服务提供者或业务伙伴）、受影响人数和提交日期。

该门户只包括影响500人或以上的泄露事件，而且供应商的泄露有时会以医疗服务提供者的名义报告，因此仅凭未在列表中找到，并不能证明信件是假的。

3

与州检察长公告列表中的样本信进行比对

加利福尼亚州检察长的泄露公告列表（oag.ca.gov/privacy/databreach/list）会公布各公司提交的样本通知信。我们的六个案例中有五个在那里有公布（我们核查时未能找到NYC Health + Hospitals）。

将你收到的信与样本并排比较，核对求助热线号码、信用监控登记网站的域名以及登记截止日期。样本是带有空白姓名和编号的模板，因此请检查措辞格式和联系方式是否吻合。

4

只在已核实的登记网站上输入社会安全号码

正规的信用监控登记需要提供你的社会安全号码，这正是你绝不能在未核实的网站上输入它的原因。

正规信件上也会有二维码（Baylor Genetics和CareCloud的样本都有登记二维码），因此不要以是否有二维码来判断。应看目的地域名是否与提交给州政府的样本一致。不要在你未主动发起的电话或短信中"确认"你的社会安全号码、银行卡号或密码（参见什么是网络钓鱼？）。

5

核实无误后，用信用冻结等措施防止号码被滥用

在截止日期前注册监控服务，然后：

  • 如果涉及你的社会安全号码，请在Equifax、Experian和TransUnion处设置信用冻结
  • 另外申请IRS IP PIN（一个可以阻止他人以你的名义报税的号码）
  • 检查你的医疗费用说明（EOB），看是否有你未接受过的服务

完整的美国核查清单（包括儿童相关事项）在我们的DentaQuest文章中有一页版本。如果涉及在线账户凭证（如NYC Health + Hospitals所列），也请更改这些密码。

真实通知的特征

  • 注明你的医疗服务提供者、保险公司或雇主，并说明该公司与其之间的关系
  • 该公司出现在HHS门户或州检察长的公告列表中
  • 电话号码和登记网站与提交给州政府的样本信一致
  • 提供免费信用监控并设有登记截止日期（由你自己登记）

诈骗的特征

  • 电话、短信或电子邮件要求你**"确认"社会安全号码、银行卡号或密码**
  • 要求付款或支付费用
  • 联系方式或域名与公开列表或样本不符
  • 催促你今天就行动（真正的登记截止日期通常还有几个月）

六个案例概览

依据HHS民权办公室泄露门户（2026年9月30日核查）和各机构的通知。人数均为HHS门户上的数字。

机构业务内容HHS实体类型受影响人数（HHS）提交HHS日期访问时段（机构所述）
NYC Health + Hospitals纽约市公立医院系统医疗服务提供者1,800,0002026年3月24日约2025年11月25日至2026年2月11日
Navia Benefit Solutions福利管理（HRA、FSA、COBRA）业务伙伴2,151,3302026年3月18日2025年12月22日至2026年1月15日
Xsolis医疗服务提供者的病例和医疗使用管理业务伙伴1,396,5192026年6月5日源于2026年1月20日的网络钓鱼攻击（1月22日获悉）
Unlimited Technology Systems医疗服务提供者的业务管理软件业务伙伴3,803,7502026年7月21日2025年10月5日至10日
CareCloud电子健康记录及其他医疗IT服务业务伙伴3,756,4692026年7月24日2026年3月10日至16日
Baylor Genetics基因及临床实验室检测医疗服务提供者2,810,8782026年8月14日2026年6月11日至17日
4 / 6
在HHS门户中登记为业务伙伴
15,718,946
六个HHS人数的简单相加（同一人可能被计入多次）
5 / 6
在加利福尼亚州检察长泄露列表中有样本信公布
5 / 6
机构自身通知中列为可能涉及社会安全号码（CareCloud据媒体报道）

如何理解这些数字

HHS门户上的人数是机构在报告时提交的数字，之后可能更新。对于Navia，HHS门户显示为2,151,330，而媒体报道称其向缅因州检察长提交的备案列出了2,697,540人（我们无法直接打开缅因州的公告）。

NYC Health + Hospitals的通知未给出人数；1,800,000为HHS门户上的数字。本文不对这六起事件的"严重程度"进行排名。

你（患者或参保人）

你只知道医院、保险计划或雇主

↓ 就医 / 登记

医疗服务提供者、保险计划或雇主

将部分工作交给外部公司

↓ 供应商

供应商或实验室

电子健康记录 / 业务管理 / 医疗使用管理 / 福利管理 / 实验室检测

你收到的通知

供应商 → 向医疗服务提供者报告 → 向你发出通知（可能以你不认识的名义送达）

如何核实（请自行打开以下内容）

HHS泄露门户（ocrportal.hhs.gov）/ 州检察长泄露公告列表及样本信

你的信息从你接受服务的医疗服务提供者，流向为其开展工作的公司。当其中一家公司发生泄露时，通知会以你不认识的名义送达。请通过公开列表核实真伪，而不是只看信件本身。

  1. 2026年3月13日和18日

    Navia开始进行替代通知（即通过个人信件以外的方式通知），并从约3月18日起邮寄书面通知。HHS提交日期：3月18日。

  2. 3月24日

    NYC Health + Hospitals发布其泄露通知（与其提交HHS的日期相同）。

  3. 3月27日

    CareCloud向SEC提交8-K表格，披露3月16日的中断事件。

  4. 6月5日

    Xsolis通过新闻稿公布该事件（与其提交HHS的日期相同）。

  5. 7月21日

    Unlimited Technology Systems提交HHS的日期。

  6. 7月24日

    CareCloud提交HHS的日期（受影响人数3,756,469）。

  7. 8月14日

    Baylor Genetics的信件注明日期（与其提交HHS的日期相同）。

各机构已披露的情况

以下依据各机构的通知、信件和州备案信息整理。客户性质的医疗服务提供者，以及机构聘请的调查人员和服务公司，均不具名。

NYC Health + Hospitals（纽约市公立医院系统）
发生了什么
2026年2月2日发现可疑活动。称未经授权的行为人在约2025年11月25日至2026年2月11日期间访问了系统并复制了文件
如何获得访问权限（据其说明）
称未经授权的行为人可能是由于第三方供应商的安全漏洞而获得访问权限
信息
根据通知，依个人情况不同，所涉信息可能包括：医疗保险信息、医疗信息（诊断、用药、检测结果、影像等）、生物识别信息（指纹和掌纹）、账单和付款信息、社会安全号码、驾驶执照及其他政府身份证件号码、纳税人识别号或IRS发放的身份保护号码、精确地理位置、银行卡号、金融账户信息或凭证，以及在线账户凭证
应对措施
增强检测规则，并更新远程访问管理政策。提供24个月免费信用监控。求助热线（844）403-4518
Navia Benefit Solutions（福利管理）
发生了什么
2026年1月23日发现可疑活动。称未经授权的行为人在2025年12月22日至2026年1月15日期间访问并可能获取了信息
信息
姓名、出生日期、社会安全号码、电话号码、电子邮件地址以及健康计划信息。健康计划仅指参与HRA、FSA或COBRA，且仅限于终止和选择日期等项目；该公司称未披露理赔或财务数据
通知
据其内布拉斯加州检察长的备案，自3月13日起进行替代通知，并从约3月18日起发出书面通知。提供12个月免费信用监控。求助热线（844）443-1645
Xsolis（医疗服务提供者的病例和医疗使用管理）
发生了什么
1月22日获悉未经授权的活动，该活动源于2026年1月20日的一次针对性网络钓鱼攻击；公司终止了访问，并隔离了受影响的主机和用户账户。行为人获取了数量有限的文件
信息
根据通知，依个人情况不同，所涉信息可能包括：姓名、地址、出生日期、医疗保险信息、社会安全号码以及医疗治疗信息
应对措施
据其样本信，重置所有用户和关键账户的密码，加强监控并改进凭证管理等。提供12个月免费信用监控。求助热线（844）403-4585
Unlimited Technology Systems（业务管理软件）
发生了什么
2025年10月19日在其商业数据中心发现未经授权的活动。称未经授权的行为人在2025年10月5日至10日期间获取了部分个人信息的副本
信息
根据通知，依个人情况不同，所涉信息可能包括：医疗保险和患者余额信息、医疗信息（病历编号、服务日期、诊断）、扫描文件（驾驶执照或其他政府身份证件、保险卡、入院登记表）、社会安全号码，以及出生日期和联系方式。该公司称不包括完整病历、医学影像，或银行卡及银行账户信息
应对措施
提供两年免费信用监控。求助热线（844）576-3063
CareCloud（电子健康记录及医疗IT）
发生了什么（8-K）
2026年3月16日，其CareCloud Health部门发生临时网络中断，部分影响了其六个电子健康记录环境之一的功能和数据访问，持续约8小时，当晚恢复
调查结果（信件）
在2026年3月10日至16日期间，一名未经授权的第三方访问了其一个云环境，并声称已从其中的数据库外泄数据。该公司于6月24日确定了受影响的信息
信息
信件列出了全名以及因人而异的其他要素。媒体报道称，其向州政府的备案列出了社会安全号码、驾驶执照及其他政府身份证件号码、金融账户号码、银行卡号，以及医疗和医疗保险信息
应对措施
提供12或24个月免费信用监控（样本登记截止日期：2026年12月17日）
Baylor Genetics（基因及临床实验室检测）
发生了什么
2026年6月15日前后发现可疑活动。称未经授权的第三方在2026年6月11日至17日期间访问了其网络和数据的部分内容。其对受影响人员的审查于7月30日前后完成
信息（患者）
姓名及出生日期、医学检测信息、实验室检测结果，以及可能涉及的医疗保险信息。极少数患者涉及社会安全号码。部分员工涉及：社会安全号码、政府身份证件号码及金融账户信息
应对措施
提供12或24个月免费信用监控（登记截止日期为2026年11月14日）。求助电话1-866-200-0985

本站观点：不要只关注你把数据交给了谁，还要关注其背后的供应商

患者把信息交给了医院、保险计划或雇主。然而，这六起事件中有五起发生在更下游的环节，即账单、记录、医疗使用管理、福利和实验室公司。第六起，即NYC Health + Hospitals，称其入口可能是供应商的泄露事件。你的信息安全取决于你自己并未选择的公司的防护能力。

对患者而言，这意味着两件事。第一，在2026年，认为来自陌生公司的信件就是诈骗已经行不通。第二，反过来，诈骗者也可能冒充陌生公司。

不要仅凭信件内容作判断：请核对你自己打开的公开记录，或通过独立查找的官方渠道联系你的医疗服务提供者。HHS门户和州检察长网站上的样本信，是患者自行核查信件的少数途径之一。

本站关于同年其他案例的文章

具有相同"来自陌生公司的信件"特征的案例，本站另有专文：

  • DentaQuest（牙科和视力福利）：该公司称，一名员工被诱骗提供了凭证和多因素认证验证码。这里也收录了一页版的美国核查清单（冻结、IP PIN、儿童相关事项）→ DentaQuest泄露事件及会员应采取的措施
  • Aesto Health（病历迁移和归档）：存储旧病历的公司发生泄露 → Aesto Health泄露事件
  • Medtronic（医疗器械制造商）：设备安全及患者应采取的措施 → Medtronic泄露事件

面向向外部发送患者数据的医疗服务提供者和企业

1

把所有你交付过患者数据的对象列在一张表上

电子健康记录、账单和业务管理、医疗使用管理、福利管理、实验室工作、病历归档。列出每一家持有患者或参保人数据的公司，无论是哪个部门签订的合同，并注明你交付的字段（包括社会安全号码、证件扫描件或生物识别信息）、记录数量以及保存了多少年。

这些通知大多是从供应商经医疗服务提供者传递给患者的。如果没有这张表，供应商打来电话时，你无法迅速说明有多少患者受影响、涉及哪些字段。做法与安全资产清单相同。

2

核查业务伙伴协议中的三项条款

联邦法规要求业务伙伴合同规定，业务伙伴将：

  • (1) 向受保实体报告合同未规定的任何使用或披露，包括泄露事件（45 CFR 164.504(e)(2)(ii)(C)）；
  • (2) 确保其分包商同意相同的限制（(D)款）；以及
  • (3) 在终止时，如可行，归还或销毁所有受保护的健康信息且不保留副本；如不可行，则延长合同保护措施，并将进一步的使用和披露限制在导致无法归还或销毁的目的范围内（(J)款）。

第(3)项需要一个核查已完成归还或销毁的步骤，或在不可行时核查持续保护和目的限制的步骤。利用"已终止合同"一栏，核查仍保留了哪些患者数据，以及保护和限制其使用的条件。

3

要求你自己和供应商使用抗钓鱼的多因素认证

Xsolis称其事件源于一次针对性网络钓鱼攻击。美国网络安全和基础设施安全局（CISA）指出，FIDO/WebAuthn（通行密钥和FIDO2安全密钥）是广泛可用的抗钓鱼选项。

首先从接触患者数据的管理员账户和远程访问着手。在选择和续约供应商时，在供应商问卷中增加一行："贵公司是否对管理员账户和远程访问使用抗钓鱼的多因素认证？"关于基于验证码的多因素认证如何被交付，参见DentaQuest文章。

4

减少交付的字段

Unlimited Technology Systems的通知称，根据个人情况不同，政府身份证件和保险卡的扫描件可能涉及其中。NYC Health + Hospitals也列出，部分人的指纹和掌纹可能涉及。

社会安全号码和生物识别信息无法更改。逐一检查你发送给每个供应商的字段，并询问该工作是否真的需要它，是在泄露真正发生时减少损失最可靠的方法。

5

做到泄露后能快速确定需要通知的对象

正如各信件所示，每起事件之后都会进行审查，以确定哪些人的记录和哪些字段受到影响。一般而言，如果你平时就知道哪些文件保存了谁的记录以及哪些字段，事件发生后确定受影响人员就会更快。

关于机构的基本安全底线，参见机构最低安全基线。

对患者及其家人：最直接的风险是信件之后那条看似可信的消息

这些通知称，姓名、地址、电话号码、出生日期和保险信息可能涉及。这些信息足以用来制造一通可信的电话、一封可信的电子邮件或一封可信的信件。

如果有人以"办理泄露赔偿"或"重新登记保险"为由索要你的社会安全号码或账户号码，请挂断电话，并回拨一个你已与HHS门户和州检察长样本信核对过的号码。

资料来源（公开记录）

本文的事实来自以下官方通知和公开记录。人数仅取自各机构、HHS或州政府所述的数字；媒体估计和对未披露原因的推测均未采用。客户性质的医疗服务提供者以及各机构的供应商和调查人员，仅以角色描述。

  • NYC Health + Hospitals，《Notice of Data Breach》（2026年3月24日）— nychealthandhospitals.org
  • Xsolis, Inc.，《Xsolis, Inc. Provides Notice of Data Security Incident》（PR Newswire，2026年6月5日）— prnewswire.com
  • CareCloud, Inc.，Form 8-K（2026年3月27日提交；报告日期3月24日）— sec.gov
  • 加利福尼亚州检察长，《Data Security Breach》列表及样本信（CareCloud、Unlimited Technology Systems、Xsolis、Baylor Genetics、Navia）— oag.ca.gov / CareCloud / Unlimited Technology Systems / Xsolis / Baylor Genetics（PDF） / Navia（PDF）
  • Baylor Genetics，《Security Update》— baylorgenetics.com
  • Navia向内布拉斯加州检察长提交的备案（通知日期和所涉数据）— nebraska.gov（PDF）
  • HHS民权办公室，《Breach Portal》（六起事件的人数、实体类型和提交日期；2026年9月30日核查）— ocrportal.hhs.gov
  • 美国联邦法规汇编，45 CFR 164.504(e)（业务伙伴合同）— ecfr.gov
  • CISA，《Implementing Phishing-Resistant MFA》（情况说明书）— cisa.gov（PDF）
  • 媒体报道（Navia向缅因州备案的人数；CareCloud州备案中的数据要素）：SecurityWeek — Navia / CareCloud

更新记录

2026-10-19：明确Xsolis、Unlimited Technology Systems和NYC Health + Hospitals中因人而异、可能涉及的信息；更正合同终止时归还或销毁的条件以及核查通知的方法。本次审查未能重新核实HHS人数和报告日期；下文9月30日的数字保持不变。

2026-09-30：首个版本，依据各机构的通知和信件、CareCloud的Form 8-K、加利福尼亚州和内布拉斯加州检察长的公告、HHS民权办公室泄露门户（截至2026年9月30日）、联邦法规以及CISA指南编写。如果各机构或监管部门发布更多信息，我们将予以更新。

延伸阅读

FAQ

Q2026年美国有哪些主要的医疗数据泄露事件？
A

HHS民权办公室泄露门户列出的事件包括：Unlimited Technology Systems（3,803,750人）、CareCloud（3,756,469人）、Baylor Genetics（2,810,878人）、Navia Benefit Solutions（2,151,330人）、NYC Health + Hospitals（登记名称为New York City Health and Hospitals Corporation，1,800,000人）以及Xsolis（1,396,519人）。其中四家在登记时被归类为业务伙伴，即代表医疗服务提供者和保险计划开展工作的公司。同期的DentaQuest、Aesto Health和Medtronic，本站在各自的单独文章中进行了介绍。

Q我收到一封来自从未听说过的公司的泄露通知信，它是诈骗吗？
A

不一定。医疗服务提供者会将电子健康记录、账单、医疗使用管理、福利管理和实验室检测等工作交给外部公司。当其中一家发生泄露时，通知信可能以该公司的名义发出。在使用信中的任何号码或链接之前，请自行打开HHS泄露门户（ocrportal.hhs.gov）以及某个州检察长的泄露公告列表（例如加利福尼亚州的列表）。核对该公司是否在列，以及电话号码和登记网站是否与公开的样本信一致。

Q如果这家公司不在HHS名单上，这封信就是假的吗？
A

不一定。HHS门户只列出影响500人或以上的泄露事件，而供应商的泄露有时会以医疗服务提供者的名义报告。州检察长的公告只包括影响该州居民的泄露事件。如果找不到相关信息，请通过官方网站或你自己查找的电话号码，联系信中提到的医疗服务提供者（即你实际就诊过的医院或诊所）进行核实。

Q确认这封信是真的之后，我应该怎么做？
A

在截止日期前注册信中提供的免费信用监控服务。如果涉及你的社会安全号码，请在三大信用局各设置一次信用冻结，并申请IRS IP PIN，同时检查你的医疗费用说明（EOB）中是否有你未接受过的服务。完整的一页美国核查清单见本站的DentaQuest文章。如果涉及在线账户凭证（如NYC Health + Hospitals通知中所述），也请更改这些密码。

Q医疗服务提供者和企业应该如何检查其供应商？
A

本站建议先做三件事：（1）列出每一个持有患者数据的供应商，注明涉及哪些字段以及保存了多少年；（2）确认你的业务伙伴协议要求供应商在合同终止时（如可行）归还或销毁受保护的健康信息且不保留副本；若不可行，则延长合同保护措施，并将使用和披露限制在导致无法归还或销毁的目的范围内；核查这些要求的落实情况（45 CFR 164.504(e)(2)(ii)(J)）；（3）要求你自己的员工和供应商使用无法被钓鱼的多因素认证（通行密钥或FIDO2安全密钥）。